p.s. по дефолту сканеры ищут всю фигню что даже не нужно, профили проверять нужно тщательно, возможно он 10 часов пытается XSS раскрутить там где HTTP_ONLY куки